近期勒索軟體分析研究

2020-12-12 51cto

勒索軟體在不斷地變化發展，攻擊者會使用各種方式敲詐目標支付贖金，如今它不僅僅是加密數據，同時也會造成數據洩露。

許多公司組織堅信完善的反病毒保護方案可以防止被勒索軟體攻擊，但是勒索攻擊仍然一次又一次成功。大多是情況下，攻擊者會利用虛擬專用網中的一些已知漏洞，或者對暴露在網際網路中的主機進行攻擊，並不完全是利用惡意軟體直接進行攻擊。

Ragnar Locker

Ragnar Locker在2020年上半年開始攻擊大型組織，它具有很強的針對性，每一個樣本都是為目標組織量身定做的。如果受害者拒絕付款，他們的數據將被公布在網上。攻擊者聲稱，這筆錢是他們發現漏洞、為文件提供解密和為受害者提供OpSec培訓的獎勵。

根據拒絕付款的受害者名單，Ragnar Locker的主要目標是美國公司，行業類型各不相同。

Ragnar Locker 技術分析

研究人員選擇最近發現的惡意軟體樣本進行分析：1195d0d18be9362fb8dd9e1738404c9d

啟動時，Ragnar Locker會檢查計算機區域設置。如果是列出的某個國家區，它將停止操作並退出。


不在上述列表中的國家，它將繼續檢查一下字符串：

所有準備工作完成後，木馬程序將搜索本地磁碟並加密受害者的文件。

RagnarLocker使用基於Salsa20進行加密。 每個文件的密鑰和隨機數值也是唯一生成的，並通過木馬中硬編碼的2048位公共密鑰一起加密。


在加密文件後，Ragnar Locker會將加密的密鑰，隨機數和初始化常量添加到加密的文件中，並添加標記「!@#_®agna®_#@!」。

Egregor

Egregor勒索軟體於2020年9月被發現，經過初步分析，其與Sekhmet勒索軟體和Maze勒索軟體存在關聯。

Egregor勒索軟體通常會出現斷網的情況，惡意軟體樣本是一個DLL文件，需要使用命令行參數並給出的正確密碼來啟動。 Egregor是最激進的勒索軟體家族，如果72小時內不支付贖金，受害者的數據將會被公布。


Egregor技術分析

研究人員選擇最近發現的樣本進行分析：b21930306869a3cdb85ca0d073a738c5

惡意軟體只有在啟動過程中提供正確密碼才會生效。 此技術旨在阻礙沙盒自動分析以及研究人員的手動分析，沒有正確的密碼，就不可能解壓縮和分析有效載荷。

解壓運行惡意程序後，最終得到了一個混淆的二進位文件，該二進位文件仍然不適合靜態分析。 Egregor中使用的混淆技術與Maze、Sekhmet中的混淆技術非常相似。

控制流混淆示例

有效負載開始執行時，它將檢查作業系統用戶語言，避免對安裝了以下語言的計算機進行加密：


終止以下進程：


Egregor使用基於流密碼ChaCha和非對稱密碼RSA的混合加密方案。

Egregor會生成一對唯一的會話密鑰對。 會話專用RSA密鑰由ChaCha導出並使用唯一生成的密鑰+隨機數加密，然後用主公共RSA密鑰加密該密鑰和隨機數。 結果保存在二進位文件中(在本例中為C:\ProgramData\dtb.dat)，並在贖金記錄中保存為base64編碼的字符串。


Egregor處理的文件會生成一個新的256位ChaCha密鑰和64位隨機數，通過ChaCha加密文件內容，然後使用會話公共RSA密鑰加密秘鑰和隨機數，最後將它們與一些輔助信息一起保存。每個加密文件的最後16個字節由動態標記組成。


Egregor的地理覆蓋範圍比Ragnar Locker的更廣：


涉及諸多行業：

保護措施

  • 勿將遠程桌面服務(例如RDP)開放到網際網路中，開放服務需要使用強密碼;
  • 及時安裝商業虛擬專用網可用補丁;
  • 及時更新所有設備上的軟體，防止被勒索軟體攻擊;
  • 將防禦策略重點放在檢測橫向移動和向Internet的數據洩漏方面;
  • 定期備份數據;
  • 培訓員工提高安全意識，如何防範勒索軟體攻擊。

【責任編輯：

趙寧寧

TEL：（010）68476606】

點讚 0

相關焦點

  • 勒索軟體:改寫網安格局,進入突變元年
    安全機構研究發現：勒索軟體在2020年最瘋狂，攻擊規模和頻率以驚人的速度增長，同時也是給企業造成損失最大的攻擊手段，甚至造成全球首例勒索軟體致死事故。國際刑警組織也宣稱，勒索軟體構成網絡安全的最大威脅因素。過去30年曾改寫網絡安全格局的勒索軟體，在2020年進入最興盛的突變元年。
  • 盤古實驗室揭秘:安卓手機勒索軟體套路(內含安卓勒索軟體快速解鎖...
    大會第一天就是一系列關於Ransomware（勒索軟體）的議題，而在剛剛過去的2016年，「MongDB資料庫網絡勒索事件」，「ElasticSearch資料庫網絡勒索 事件」，網絡勒索問題已成為網際網路安全的重點關注問題之一。此前，某安全研究人員在知乎專欄爆料，某黑產團夥利用嵌入惡意代碼的刷鑽應用進行QQ盜號和惡意鎖屏，感染用戶高達八千人。
  • 勒索軟體即服務已成為新流行的「疫情」
    現在人盡皆知，勒索軟體變成了一個巨大的麻煩。過去的一年中，我們見證了一系列勒索軟體的攻擊，攻擊摧毀了全球的很多企業。即使不是網絡安全行業的從業人員，都已經知道犯罪分子已經找到通過網絡進入公司的方法，然後犯罪分子可以鎖定計算機使之不可用，直到公司支付了相關的贖金才會恢復。
  • RagnarLocker勒索軟體隱藏在虛擬機裡逃避常規檢測
    據國外安全媒體報導，安全研究人員發現一種新的勒索軟體攻擊技術將惡意軟體部署為虛擬機（VM），以逃避傳統防禦。最近檢測到RagnarLocker攻擊，其中勒索軟體隱藏在Oracle VirtualBox Windows XP VM中。
  • 研究人員:Petya勒索病毒新建一個只讀文件就可免疫 - 太平洋電腦網
    繼 WannaCry 之後，利用 NSA「永恆之藍」漏洞的新型 Petya 勒索軟體再次引爆了網絡。萬幸的是，網絡安全人員 Amit Serper 已經發現了預防計算機被 Petya（含 NotPetya / SortaPetya / Petna）感染的方法。
  • 心靈捕手:勒索軟體是如何運用心理戰術達到攻擊目的?
    對於用戶來說，勒索軟體是網絡攻擊者使用的最可怕的一種武器。據估計，僅在美國，因勒索軟體造成的損失就達到了75億美元，而在加拿大，因勒索軟體造成的損失就也達到了23億美元，毫無疑問，全球都能感受到勒索軟體的存在，而造成的損失更是難以估量。
  • 多雲環境下,企業如何獲取應對勒索軟體的「庇護之劍」
    混合多雲戰略的優勢顯而易見，但也因此讓勒索軟體有機可乘。日漸複雜的企業IT環境之中，正隱藏著容易被人們忽視的風險。勒索軟體成為企業不得不應對的重大風險之一隨著新冠疫情的持續發展，勒索軟體的攻擊勢頭呈現出上升和頻率增加的趨勢，勒索的手段和對象相較以往也有所改變。
  • 勒索病毒攻擊是誰打開了潘多拉的魔盒?
    近日，一次迄今為止最大規模的勒索病毒網絡攻擊席捲全球。這種勒索病毒名為WannaCry（及其變種），全球各地的大量組織機構遭受了它的攻擊。這一切的一切要從一個「方程式組織」說起。早在幾年前，多家安全研究機構及安全實驗室對一些重大的網絡犯罪行為及重大的網絡病毒進行跟蹤分析後，發現所有的這些病毒樣體及攻擊源頭都指向了一個叫作方程式組織（EquationGroup）的機構。根據當時掌握的信息，這個組織規模龐大資金充足，並擁有足夠的調用網際網路資源的能力。
  • 「獅子」瑞星:對抗勒索病毒防禦才是解決之道
    根據瑞星不久前發布的《2018勒索病毒全面分析報告》捕獲數據，2018年1至10月中國勒索病毒樣本約有42.82萬個，勒索病毒感染次數約為344萬次。一但電腦數據被勒索病毒加密，幾乎沒有任何辦法破解。攻擊者不需要任何知識，只要支付少量的租金就可以開展勒索軟體的非法勾當。），更是大大降低了勒索軟體的門檻，推動了勒索軟體大規模爆發。
  • 法外狂徒:利用勒索軟體攻擊巴西最高法院,獲得機密文件
    這次勒索軟體攻擊是由未知的黑客組織發起的，他們要求獲得被勒索文件的贖金。巴西高等法院(STJ)的網絡設施遭受了大規模勒索軟體攻擊，其官方網站被迫下線。勒索軟體的攻擊發生在上周一到周二，但細節今天早些時候才被披露。勒索軟體運營商聲稱整個STJ資料庫已經被加密，任何試圖恢復文件的嘗試都將是徒勞的。勒索軟體綁票了巴西最高法院加密文件及其備份。
  • 全新勒索惡意軟體出現,申通開除打人快遞員 | 早8點檔
    全新勒索惡意軟體 Petrwrap 出現，攻擊歐洲航空公司、銀行和公用事業一個全新勒索惡意軟體正在攻擊歐洲各地企業，烏克蘭企業損失最為嚴重，烏克蘭中央銀行，卡巴斯基實驗室的研究人員將病毒識別為 Petrwrap，根據最近的 VirusTotal 掃描，61 個防病毒服務中只有四個成功檢測到病毒。目前尚不清楚病毒是如何傳播的，儘管有些公司報告說這種攻擊利用了 Windows 的 SMB 弱點。 4 月份，影子經紀公司發布了一個名為 EternalBlue 的系統工具包，它利用了被美國國家安全局開發的一系列 Windows 漏洞。
  • 2019年網絡安全災難事件,5大勒索病毒軟體
    先來看看今年發生的這些威脅事件： 3月份，全球最大鋁製品生產商之一的Norsk Hydro遭遇勒索軟體攻擊，多條生產線被迫關閉，全球鋁製品市場遭遇震蕩； 5月，某網約車平臺遭黑客勒索軟體打擊，伺服器核心數據慘遭加密，攻擊者索要巨額比特幣贖金，企業無奈之下向公安機關報警求助
  • 貨運巨頭Forward Air遭到新型勒索軟體Hades的攻擊
    Forward Air 最近受到新的勒索軟體攻擊，這對該公司的業務運營產生了影響。 上周，FreightWaves（FreightWaves是北美貨運市場的SaaS數據提供商，FreightWaves成立的目的是為貨運市場提供透明度和風險管理產品）報告說，Forward Air遭受了一次網絡攻擊，迫使他們斷開所有網絡連接以防止攻擊蔓延。
  • 這款「拼音版」勒索病毒逼瘋老外,中國網民出招營救!
    勒索病毒本是個洋玩意，英文的敲詐界面、虛擬貨幣的支付渠道，一直讓國內中招者頭疼不已。不過，近期一款遠銷海外的「拼音版」勒索病毒，鎖死系統後竟提示通過QQ進行支付，這一十分國產化的操作模式，著實讓老外體驗了什麼是懵逼。
  • 「勒索病毒」捲土重來,這次盯上了微信支付!微信官方緊急回應
    騰訊安全管家表示，12月1日起接到若干用戶求助，遭遇勒索病毒攻擊。據查，該新型勒索病毒通過加密電腦上的doc、jpg等常用文件，然後利用微信支付二維碼進行勒索贖金。微信方面表示，針對近期出現的「微信支付」勒索病毒事件，已第一時間對所涉勒索病毒作者帳戶進行封禁、收款二維碼予以緊急凍結。微信用戶財產和帳戶安全不受任何威脅。
  • 勒索不成搞拍賣?REvil公開喊價50000美元
    勒索不成搞拍賣？REvil公開喊價50000美元 近日，勒索軟體運營REvil建立了一個類似eBay的拍賣網站，他們表示，未來將在該網站上出售自己竊取到的企業數據。
  • Garmin確認在支付贖金後 已收到WastedLocker勒索軟體解密器
    據外媒BleepingComputer報導，他們確認了Garmin已經收到解密密鑰以此來恢復他們在WastedLocker勒索軟體攻擊中加密的文件。在員工們分享了加密工作站的照片後，BleepingComputer是第一個證實他們受到了WastedLocker勒索軟體運營商網絡攻擊的公司。之後，職工告訴BleepingComputer，勒索贖金要1000萬美元。Garmin則在服務中斷了四天之後突然宣布他們開始恢復服務，這讓人們懷疑他們是否通過支付贖金來獲得一個解密器。
  • 使用.net編寫的勒索病毒——Satyr勒索病毒
    背景介紹近日捕獲到使用.net編寫的勒索病毒，經過分析發現，此病毒為Satyr勒索病毒，此病毒運行之後使用AES算法加密受害者文件，使用RSA算法加密密鑰。被加密文件被追加上.Satyr後綴，如果沒有攻擊者的私鑰無法解密文件。
  • 新型勒索病毒Maze藏身「黃賭毒」網頁 評估數據價值確定勒索金額
    近日，騰訊安全御見威脅情報中心監測發現，新型勒索病毒Maze（迷宮）開始在國內逐漸蔓延，部分企業及個人已遭受入侵感染。一方面，通過大量混淆代碼來對抗靜態分析，同時使用RSA+Salsa20方式加密文件；另一方面，加密完成後對文件添加隨機擴展後綴，並留下名為DECRYPT-FILES.html的勒索說明文檔。值得一提的是，目前被Maze病毒加密的文檔，在未得到密鑰前暫無法解密。
  • 傳LG被勒索軟體Maze的開發者攻擊 40GB信息將洩露
    【CNMO新聞】據外媒WinFuture消息，勒索軟體Maze的開發人員小組聲稱攻擊了韓國電子產品製造商LG並竊取了數據。但是，LG方面尚未確認遭受攻擊。據說，被盜信息包含40GB的原始碼。傳LG已被勒索軟體Maze的開發者攻擊（圖源WinFuture）LG尚未確認襲擊。與Gadgets 360相比，該電子產品製造商僅強調該公司非常重視安全性，並將對此事件進行調查。如果發現犯罪證據，LG希望讓當地調查部門介入。但是，到目前為止，據說該公司尚未意識到其數據遭盜竊。